การถอดรหัสความสับสนและการวิเคราะห์ Ring-1.io

Ring-1.io เป็นแพลตฟอร์มโกงเกมเชิงพาณิชย์ที่ไคลเอนต์ที่ใช้ JavaScript จำนวนมากต้องอาศัยการปกปิดหลายชั้นเพื่อซ่อนตรรกะตัวโหลด รูทีนการป้องกันการตรวจจับ และการสื่อสารแบบสั่งการและควบคุม นักวิจัยด้านความปลอดภัยสามารถสร้างการทำงานภายในของแพลตฟอร์มขึ้นใหม่ได้อย่างสมบูรณ์และเปิดเผยเทคนิคที่ใช้ในการหลบเลี่ยงการตรวจจับโดยกลไกต่อต้านการโกงผ่านการถอดรหัสซอร์สโค้ดที่สร้างความสับสนอย่างเป็นระบบ การกู้คืนโฟลว์การควบคุม และการวิเคราะห์พฤติกรรม

การทำความเข้าใจว่า Ring-1.io ปกป้องโค้ดของตนอย่างไรนั้นมีความสำคัญมากกว่าโลกของเกม รูปแบบการทำให้งงงวยเดียวกันนี้ปรากฏในตัวปล่อยมัลแวร์ ตัวขโมยข้อมูลประจำตัว และชุดการหาประโยชน์บนเบราว์เซอร์ สำหรับธุรกิจที่ต้องพึ่งพาความสมบูรณ์ของซอฟต์แวร์ ไม่ว่าคุณจะจัดการผลิตภัณฑ์ SaaS หน้าร้านอีคอมเมิร์ซ หรือแพลตฟอร์มการดำเนินงานภายใน การรู้ว่าฝ่ายตรงข้ามปกปิดเพย์โหลดที่เป็นอันตรายจะช่วยให้คุณสร้างการป้องกันที่แข็งแกร่งขึ้นและการตรวจสอบที่ชาญฉลาดยิ่งขึ้นได้อย่างไร

Ring-1.io ใช้เทคนิคการทำให้งงงันอะไรจริง ๆ ?

โค้ดฝั่งไคลเอ็นต์ของ Ring-1.io ใช้กลยุทธ์การทำให้สับสนแบบหลายชั้น ซึ่งออกแบบมาเพื่อทำให้ทั้งเครื่องสแกนอัตโนมัติและวิศวกรย้อนกลับแบบแมนนวลหงุดหงิด ที่เลเยอร์นอกสุด JavaScript จะถูกแพ็กโดยใช้รูปแบบที่กำหนดเองของการหมุนอาร์เรย์สตริง ซึ่งเป็นเทคนิคที่ข้อมูลสตริงที่อ่านได้จะถูกแทนที่ด้วยการค้นหาที่จัดทำดัชนีไว้ในอาร์เรย์แบบสับซึ่งถูกถอดรหัสขณะรันไทม์ ใต้เลเยอร์นั้น โฟลว์การควบคุมจะเรียบลง: ตรรกะตามลำดับจะถูกแบ่งออกเป็นบล็อกกรณีสวิตช์ที่ไม่ได้เชื่อมต่อ ซึ่งขับเคลื่อนโดยตัวแปรโปรแกรมเลือกจ่ายงานแบบทึบ ทำให้แทบจะเป็นไปไม่ได้เลยที่จะติดตามการดำเนินการโดยการอ่านแหล่งที่มาเชิงเส้นตรง

การป้องกันเพิ่มเติม ได้แก่ การแทรกโค้ดที่ไม่ทำงาน ซึ่งฟังก์ชันและตัวแปรที่ไม่มีความหมายทำให้โค้ดเบสขยายตัวเพื่อทำให้การวิเคราะห์ช้าลง และตัวระบุที่ยุ่งเหยิง ซึ่งจะแทนที่ชื่อที่สื่อความหมายด้วยโทเค็นเลขฐานสิบหกแบบสุ่ม สิ่งที่โดดเด่นที่สุดคือ Ring-1.io เพิ่มการตรวจสอบป้องกันการงัดแงะที่ตรวจจับเบรกพอยต์และกิจกรรม DevTools โดยจะยุติเซสชันทันทีหากพบเครื่องมือวัด เลเยอร์เหล่านี้ทำงานร่วมกัน: แม้ว่านักวิเคราะห์จะเอาชนะเลเยอร์หนึ่งได้ แต่เลเยอร์ที่เหลือก็ยังคงขัดขวางความคืบหน้า

นักวิจัยจะถอดรหัสโค้ดอย่างเป็นระบบได้อย่างไร?

การถอดรหัสลดความสับสนเป็นกระบวนการที่มีระเบียบวินัยและมีหลายขั้นตอน โดยทั่วไปแล้วนักวิจัยจะปฏิบัติตามแนวทางจากล่างขึ้นบน โดยเริ่มจากการเปลี่ยนแปลงทางกลส่วนใหญ่ และค่อยๆ กู้คืนตรรกะในระดับที่สูงขึ้น

การกู้คืนอาร์เรย์สตริง: ระบุตารางสตริงที่เข้ารหัส เล่นซ้ำฟังก์ชันการหมุนและการถอดรหัส และอินไลน์ค่าเคลียร์เท็กซ์กลับเข้าไปในโค้ดเพื่อให้สามารถอ่านการเรียกใช้ฟังก์ชัน URL และคีย์การกำหนดค่าได้

การควบคุมโฟลว์ไม่ราบเรียบ: ติดตามตัวแปรโปรแกรมเลือกจ่ายงานผ่านแต่ละบล็อกเคสสวิตช์ สร้างลำดับการดำเนินการเดิมขึ้นมาใหม่ และเขียนโค้ดใหม่เป็นคำสั่งตามลำดับโดยมีการแตกแขนงที่เหมาะสม

การกำจัดโค้ดที่ไม่ทำงาน: ใช้การวิเคราะห์แบบคงที่เพื่อระบุฟังก์ชันและตัวแปรที่ไม่เคยเข้าถึงระหว่างการดำเนินการจริง จากนั้นจึงตัดออกเพื่อลดสัญญาณรบกวนและแสดงตรรกะที่แท้จริง

การบายพาสการป้องกันการแก้ไขข้อบกพร่อง: แก้ไขหรือทำให้การตรวจสอบเวลาและตัวตรวจจับ DevTools เป็นกลาง เพื่อให้เครื่องมือวิเคราะห์แบบไดนามิก เช่น Chrome DevTools, Frida หรือเครื่องมือแบบกำหนดเองสามารถแนบโดยไม่เรียกใช้รูทีนการทำลายตนเอง

การแมปพฤติกรรม: เมื่ออ่านโค้ดได้แล้ว ให้แมปทุกคำขอเครือข่าย การโต้ตอบที่จัดเก็บในเครื่อง และการจัดการ DOM เพื่อสร้างโปรไฟล์พฤติกรรมที่สมบูรณ์ของไคลเอนต์ รวมถึงโปรโตคอลการสื่อสารกับเซิร์ฟเวอร์แบ็กเอนด์ของ Ring-1.io

เครื่องมือต่างๆ เช่น AST Explorer, Babel แปลงปลั๊กอิน และ de4js จะช่วยเร่งเวิร์กโฟลว์นี้ แต่การตัดสินใจของมนุษย์ยังคงมีความสำคัญต่อการตีความบริบทและแก้ไขความคลุมเครือที่เครื่องมืออัตโนมัติพลาดไป

รหัสที่ไม่ซับซ้อนเปิดเผยอะไรเกี่ยวกับสถาปัตยกรรมของ Ring-1.io

เมื่อชั้น obfuscation ถูกแยกออกไป สถาปัตยกรรมของ Ring-1.io ก็กลายเป็นเรื่องปกติอย่างน่าประหลาดใจ ไคลเอนต์ติดตามโมเดลโหลดเดอร์-เพย์โหลด: สคริปต์เริ่มต้นขนาดกะทัดรัดจะตรวจสอบสิทธิ์ผู้ใช้ ดึงโทเค็นเซสชัน จากนั้นดึงข้อมูลเพย์โหลดขั้นที่สองที่มีฟังก์ชันโกงจริง

Related Posts

• สร้างตัวตนออนไลน์แบบมืออาชีพด้วยงบประมาณจำกัด
• 10 ส่วนขยาย Chrome ที่ดีที่สุดที่สมบูรณ์แบบสำหรับทุกคน
• คำถามที่พบบ่อยที่สุดเกี่ยวกับ NFT (โทเค็นที่ไม่สามารถเข้ากันได้)
• เครื่องมือ CRM ฟรียอดนิยมสำหรับเจ้าของคนเดียวและฟรีแลนซ์